Ír ügynökségek FSB-kötődésű jelszóeszközt vettek

Három ír állami szerv a közelmúltban összesen 13 281 eurót költött a Passwork nevű jelszókezelőre (Irish Times). Az összeg elég kicsi volt ahhoz, hogy ne indítson be komoly közbeszerzési vészjelzést. A megvett eszköz viszont nem mellékes szoftver: olyan program, amely a dolgozók belső rendszerekhez, felhőszolgáltatásokhoz és adminisztrátori fiókokhoz használt jelszavait tárolja.

Ki áll a kulcscsomó mögött?

Az OCCRP, a Yle, a Le Monde és az Irish Times határokon átívelő vizsgálata a Passwork cégstruktúráját orosz alapítókig követte vissza (Yle). Egy testvérvállalat engedélyekkel rendelkezett az orosz FSB hírszerző szolgálattól, valamint az FSTEC-től, amely a védelmi és műszakiexport-ellenőrzéshez kapcsolódik (Le Monde). A Passwork magát „finn gyökerű”, európai szolgáltatóként hirdette. Finnországi cége 2017 és 2024 között működött, a későbbi értékesítést pedig egy spanyol vállalaton keresztül bonyolították. Mindhárom ír szerv azt közölte, hogy úgy tudta: uniós beszállítótól vásárol (Irish Times).

A vizsgálat nem talált bizonyítékot arra, hogy az európai verzió hátsó ajtót, vagyis a rendes biztonsági ellenőrzést megkerülő rejtett kódot tartalmazott volna, és arra sem, hogy ügyféladatok kerültek volna illetéktelenekhez (Yle). Ez fontos különbség. Egy jelszókezelőnél azonban nemcsak az számít, mi történt, hanem az is, milyen hozzáférés válhatott volna lehetségessé.

A jelszókezelő gyakorlatilag főkulcstartó. Az e-mail-fiókok, adatbázisok, felhőszolgáltatások és adminisztrációs felületek az ajtók; a jelszókezelő ezek kulcsainak másolatát őrzi. Az amerikai CISA szerint ezek az eszközök erős, egyedi jelszavak használatát teszik lehetővé, de ugyanez a központosítás a kockázatot is egy pontra húzza össze (CISA). Egy feltört táblázatkezelő egy munkafolyamatot zavarhat meg. Egy feltört hitelesítőadat-tár viszont minden védett rendszerhez utat nyithat.

Az egyik ír szerv azért választotta a Passworköt, mert a szoftvert saját szerveren, nem felhőben lehetett futtatni. A helyi üzemeltetés valóban korlátoz bizonyos adatmozgásokat. A jelszókezelő kódja azonban továbbra is a gyártó által ellenőrzött frissítési csatornákon keresztül változik; telepítés után ezeken az útvonalakon jut be új kód a rendszerbe. A támogatási csatornák és a konfigurációs beállítások szintén bizalmi viszonyt teremtenek, amely túléli az első telepítést (Le Monde). Ha ezek közül bármelyik sérül, a helyi hosztolás önmagában nem védi meg a benne tárolt titkokat.

Európának vannak szabályai, csak nem használta őket

Az „uniós székhelyű” cégjogi tény, nem biztonsági garancia. Európának már vannak eszközei a szoftverek megbízhatóságának ellenőrzésére. Az ENISA kiberbiztonsági tanúsítási kerete független értékelést kínál szoftvertermékekre (ENISA). A 2024-ben elfogadott kiberreziliencia-rendelet a jelszókezelőket azon termékek közé sorolja, amelyeknél dokumentált biztonsági kontrollokra van szükség, mielőtt az uniós piacra kerülnek (CRA). A francia nemzeti kiberbiztonsági ügynökség formális biztonsági tanúsítással rendelkező termékeket ajánl; a Passworknek ilyen tanúsítása nem volt. A NIS2-irányelv külön is előírja, hogy az érintett szervezetek a beszállítóik biztonsági gyakorlatát vizsgálják, ne csak a számláikat (NIS2).

Az eddigi nyilvános válaszok alapján az ír szervek erősen támaszkodtak a beszállító európai identitására. A beszerzési csapatoknak ennél mélyebbre kellene menniük: ki ellenőrzi a kódot, ki tud frissítést küldeni, kik kezelik a támogatási csatornákat, és milyen független biztonsági vizsgálat történt.

A finn Supo és a katonai hírszerzés 2026 júliusában arra figyelmeztetett, hogy az orosz FSB kiberkémkedése aktívan céloz finn vállalatokat gyengén védett vállalati hálózati eszközökön keresztül (Supo, Kiberbiztonsági Központ). Ezek a figyelmeztetések nem kifejezetten a Passworkről szólnak, de megmutatják, miért tartozik komoly beszállítói kockázatvizsgálat alá egy olyan termék, amelynek testvércége FSB-engedéllyel működött.

A francia parlament nemrég úgy becsülte, hogy az ország központi beszerzési ügynökségén keresztül lebonyolított közszférás szoftvervásárlások nagyjából 80 százaléka amerikai kiadókhoz kerül; ez évente körülbelül 1,5 milliárd eurót jelent nem európai szoftverekre (Banque des Territoires). A Passwork-ügy egy másik szuverenitási rést mutat meg: az európai címke mögött álló átláthatatlan tulajdonosi hátteret. A német NIS2-útmutatás már vezetői felelősségként kezeli ezt: a felsővezetők nem tekinthetik többé egyszerű informatikai üzemeltetési kérdésnek a beszállítói hozzáféréseket (ComplyCheck).

Ha egy hitelesítőadat-tárba vetett bizalom megrendül, a szoftver eltávolítása csak az első lépés. Minden benne tárolt jelszót, köztük az adminisztrátori hozzáféréseket és az emberek helyett gépek által használt jelszavakat is potenciálisan kiszivárgottnak kell tekinteni, és le kell cserélni. A NIST zero trust keretrendszere is arra figyelmeztet, hogy nem szabad egyetlen bizalmi rétegre építeni a védelmet (NIST SP 800-207).

A három ír szerv 13 ezer euróért jelszókezelőt vett. Európa ugyanezért kapott egy esettanulmányt arról, mi történik, ha a beszerzés az árat és a címkét ellenőrzi, de nem néz be annak a szoftvernek az ellátási lánca mögé, amely a kulcsokat őrzi.